摘要
勒索软件已经演变为一种复杂、自适应且快速变化的对手类别，静态签名和单一分类器在概念漂移、规避和行为多态性下无法有效泛化。本文提出了Agentic SABRE（语义-行为仲裁勒索软件评估），这是一种不确定性感知的神经符号多代理框架，用于自适应勒索软件检测。SABRE融合了基于语义的证据与行为时间窗口取证遥测，利用蒙特卡洛 Dropout 推断来量化每个代理的认知不确定性。
我们引入了一种决策层调度器，执行风险和不确定性感知的分类，使用两个可解释的阈值：风险评分和不确定性预算。高置信度、高风险样本会被自动隔离，而不确定或边界案例则会上报给人工分析师，从而在自主响应与分析师监督之间建立灵活的计算契约。为支持审计性和信任，SABRE集成了事后可解释性机制，包括梯度显著性、置换重要性和反事实分析，允许对代理决策进行局部和全局解释。
在RDset和RanSMAP上的广泛评估表明，Agentic SABRE在饱和语义数据集上保持完美的区分度，AUC达到了1.0，同时在弱行为信号下提高了鲁棒性。它在保持校准预测不确定性的同时，能够相对减少高达4.9%的错误升级。反事实分析进一步表明，语义和行为决策可以在有界扰动成本下被逆转，表明决策边界是稳定且可解释的。
博主点评： 这项研究展示了如何结合神经网络与符号推理来提高勒索软件检测的灵活性和准确性，同时强调了不确定性管理的重要性。Agentic SABRE 的设计理念为未来的安全防护系统提供了新的思路，尤其是在面对不断演变的威胁时。其可解释性机制也为信任建立提供了有力支持，值得深入关注。